IT-Security Produktionsnetzwerk sicher verbinden: Mehr Performance in der Fertigung

Anbieter zum Thema

Phoenix Contact

NTT DATA Deutschland SE

Schneider Electric GmbH

PSI Software SE | Business Unit Discrete Manufacturing

In modernen Fertigungsumgebungen erweist sich eine performante Netzwerkanbindung als wichtiger Wettbewerbsvorteil. Vernetzte Produktionsanlagen lassen sich dynamisch mit Fertigungsaufträgen versorgen, sodass sie optimal ausgelastet sind. Neben dem Datenaustausch im Produktionsnetzwerk werden zur Prozessanalyse auch Daten aus der Fertigung benötigt, um die Abläufe besser verstehen und optimieren zu können. Zudem müssen qualitätsrelevante Informationen, wie etwa Kalibrierprotokolle, sicher archivierbar sein.

Damit die Aufgaben von dem als Übertragungsmedium dienenden Netzwerk geleistet werden können, sollte das Netzwerk klar strukturiert werden. Eine Netzwerksegmentierung bietet zahlreiche Vorteile im Hinblick auf die Performance und IT-Sicherheit. Die Broadcast-Telegramme werden beispielsweise nicht in andere Segmente weitergeleitet, unnötiger Datenverkehr reduziert deren Performance also nicht. Wichtige Produktionsanlagen lassen sich redundant ankoppeln, sodass die Kommunikation beim Ausfall einer nahtlos über die zweite Verbindung erfolgt.

Durch das Segmentieren in kleinere Subnetze verringern sich potenzielle Angriffsvektoren. Betroffene Segmente können bei einem Angriff isoliert werden, eine Ausbreitung von Schadsoftware in weitere Segmente findet nicht statt. Die Administrierung und Überwachung von segmentierten Netzwerken zeigen sich als einfacher und genauer, bei Problemen lässt sich der betroffene Bereich leichter identifizieren.

Produktionsnetzwerk als Verbindungsnetz zwischen IT und OT

Im Rahmen der Planung einer Segmentierung des Fertigungsnetzwerks müssen die Verantwortlichen des IT- und OT-Bereichs bei der Erstellung eines ganzheitlichen Sicherheitskonzepts eng zusammenarbeiten. Als zertifizierter Security-Service-Provider gemäß IEC 62443-2-4 unterstützt Phoenix Contact entsprechend. Eine Produktion lässt sich nur durch eine umfassende Lösung schützen, denn Einzelmaßnahmen lassen sich oftmals über Umwege wieder aushebeln. Auch Phoenix Contact stand vor der Herausforderung, den eigenen Fertigungsbereich mit teils großen Subnetzen zu segmentieren. Dazu waren klare Verantwortlichkeiten abzustimmen: Bis zu welchem Übergabepunkt ist die IT für die Konfiguration und Wartung der Netzwerkinfrastruktur zuständig und wo beginnt die Verantwortlichkeit der OT.

Um eine optimale Netzwerkanbindung zwischen IT und OT umzusetzen, baute die IT ein Produktionsnetzwerk als Verbindungsnetzwerk zwischen IT und OT auf. Die einzelnen Segmente des Fertigungsbereichs wurden anschließend mit dem Produktionsnetzwerk verbunden. Damit die Fertigungsanlagen bestmöglich arbeiten können, ist die Kommunikation zwischen den Maschinen analysiert worden: Über welche Protokolle tauschen sie untereinander Daten aus? Layer-2-Protokolle lassen sich zum Beispiel nur innerhalb eines Segments übertragen, sodass sich Anlagen, die beispielsweise via Profinet miteinander kommunizieren, innerhalb eines Segments befinden müssen.

Die generierten Segmente werden von einer Firewall der Produktfamilie mGuard geschützt, die im Router-Modus laufen. Für das Erstellen der Firewall-Regeln lässt sich die Aufstellung mit den Kommunikationsbeziehungen nutzen. Die Firewall gibt die erforderlichen Verbindungen des Segments mit externen Teilnehmern frei. Über die 1:1-NAT-Funktion von mGuard können die IP-Adressen, die außerhalb des Segments liegen, übersetzt werden. Aufgrund dieser Funktion sind an den Anlagen keine IP-Änderungen nötig, was spezielle Konfigurations-Tools oder sogar Anpassungen in den Anlagenprogrammen voraussetzt.

VPN- und lokaler Zugang ein- und ausschaltbar

Zur Integration der zusätzlichen Netzwerkkomponenten in die Brownfield-Anlagen ist gemeinsam mit dem firmeneigenen Schaltschrankbau eine skalierbare Schaltschranklösung entwickelt worden. Auf diese Weise ließen sich die Anlagen problemlos umbauen. Bei der Erarbeitung des Schaltschrankkonzepts hat das Expertenteam weitere Funktionen beachtet und in die fertige Lösung eingebaut. Neben den bereits erwähnten Funktionalitäten der Firewall wurde über die Plattform mGuard Secure Cloud ein VPN-Zugang zu den einzelnen Segmenten geschaffen, der sich direkt vor Ort vom Personal ein- und ausschalten lässt. Eine auf dem Schaltschrank angebrachte Leuchte informiert die Produktionsmitarbeiter über den aktuellen Status der Verbindung.

Der DMZ-Port der mGuard-Firewall ist für den lokalen Service konfiguriert. Ein an diesen Port angekoppeltes Service-Notebook kann lediglich mit den Komponenten innerhalb des Segments kommunizieren, eine Verbindung mit anderen Segmenten oder dem Produktionsnetz ist nicht möglich. Dieser Zugang lässt sich ebenfalls vor Ort ein- und ausschalten. Eine redundante und unterbrechungsfreie Spannungsversorgung erhöht die Verfügbarkeit. Ferner meldet der eingebaute Türschalter das Öffnen der Schaltschranktür. Diagnose-Informationen und Alarme werden von der mGuard-Firewall und dem integrierten Managed Switch über das SNMP-Protokoll als SNMP-Traps verschickt, um zum Beispiel einen Spannungsausfall oder das Öffnen der Tür anzuzeigen.

Zentrale Management-Software vereinfacht Geräteverwaltung

Die Fertigungsanlagen sind sukzessive mit Hilfe der selbst entwickelten Schaltschranklösung sowie in Zusammenarbeit mit der IT an das neue Produktionsnetzwerk der OT angebunden worden. Firewall-Regelsätze wurden auf der Grundlage der Protokolldateien der mGuard-Firewall so angepasst, dass nur die benötigten Verbindungen umsetzbar sind. Nicht erforderliche Verbindungen werden verworfen, aber trotzdem im Firewall-Protokoll aufgeführt. Das Firewall-Protokoll identifiziert somit notwendige wie auch nicht-notwendige Verbindungen, wenn sich die Dokumentation der Komponenten als lückenhaft erweist.

Nach der ersten Inbetriebnahme im Fertigungsbereich wurden die einzelnen Firewalls in die Device-Management-Software mGuard Device Manager integriert, wodurch sich die Verwaltung der Geräte im Feld vereinfacht. Über einen Template-Mechanismus lassen sich sämtliche Geräte zentral konfigurieren und administrieren. Die gewünschten Firewall-Regeln und NAT-Einstellungen werden erstellt und per Mausklick über die Upload-Funktion auf die Geräte im Netzwerk geladen. Die Software FL Network Manager unterstützt bei der Erstinbetriebnahme und dem Management der in den Schaltschranklösungen verwendeten Switches der Baureihe FL 2000 – von der IP-Adressvergabe über Firmware-Updates bis zur VLAN-Konfiguration. Über die Menü-Oberfläche oder mit dem eingebauten SNMP-Scripting lassen sich Konfigurationen gleichzeitig auf den Switches ändern, archivieren oder wiederherstellen.

Zahlreiche Vorteile durch ein segmentiertes Produktionsnetzwerk

Durch den Einsatz der eigenen Komponenten konnte Phoenix Contact die Sicherheit in der Produktion signifikant erhöhen. Die Segmentierung des Fertigungsnetzwerks steigert dessen Performance und Wartungsfreundlichkeit. Alle genutzten Geräte sind für den OT-Bereich entwickelt, das heißt, sie sind ohne Lüfter ausgestattet und erlauben eine Umgebungstemperatur von -40 Grad bis +70 Grad Celsius. Über das Web-based Management können sämtliche Geräteparameter eingestellt werden, es sind also keine speziellen Befehle für die Kommandozeile erforderlich, um die Komponenten zu konfigurieren. Fehler und Logs stellt das Web-based Management ebenfalls in Klartext dar. Für eine zentrale Überwachung lassen sich alle Diagnosen auch über das SNMPv3-Protokoll abrufen.

Der Autor Dipl.-Ing. (FH) Frank Brockhagen  ist Senior Project Manager Factory Automation 
bei Phoenix Contact Electronics.